JadePuffer : le premier ransomware entièrement piloté par un agent IA ? Analyse d'une cyberattaque sans précédent

En juillet 2025, les chercheurs de Sysdig ont dévoilé un cas inédit dans le paysage des cybermenaces : le ransomware JadePuffer, orchestré de bout en bout par un agent d’intelligence artificielle (IA). Cette attaque, qui a ciblé une infrastructure exposée sur Internet, marque un tournant dans la sophistication des ransomwares. Contrairement aux campagnes traditionnelles où l’humain reste au centre des décisions, ici un grand modèle de langage (LLM) a automatiquement mené la reconnaissance, le vol d’identifiants, le déplacement latéral, l’installation d’une persistance, l’escalade de privilèges et le chiffrement des données. Pour les entreprises françaises, ce cas illustre une nouvelle ère de menaces « agentiques » où la barrière technique s’abaisse dangereusement. Cet article vous propose une analyse détaillée du mode opératoire de JadePuffer, des vulnérabilités exploitées et des mesures concrètes pour renforcer votre défense face à ces attaques pilotées par IA.

Comment JadePuffer a utilisé un agent IA pour automatiser l’attaque

JadePuffer n’est pas un ransomware classique. Son originalité réside dans l’emploi d’un agent LLM agissant de manière autonome, capable de s’adapter en temps réel aux obstacles rencontrés. Selon Sysdig, l’agent est passé d’un échec de connexion à une correction fonctionnelle en seulement 31 secondes. Cette capacité d’itération rapide, similaire à celle d’un opérateur humain, a permis de mener l’intrusion du premier accès jusqu’au chiffrement sans intervention manuelle.

De l’accès initial au chiffrement : une chaîne d’actions automatisée

L’attaque a débuté par l’exploitation d’une vulnérabilité critique dans Langflow, un framework open source populaire pour la création d’applications LLM. Voici les étapes clés identifiées par les chercheurs :

1. Exploitation de CVE-2025-3248 : une faille d’exécution de code à distance non authentifiée, corrigée par l’éditeur en avril 2025 et signalée par la CISA comme activement exploitée en mai.
2. Reconnaissance automatique : après avoir obtenu l’exécution de code, l’agent LLM a extrait la base de données PostgreSQL de Langflow, collecté des informations sur l’hôte, recherché des variables d’environnement et des fichiers sensibles, et énuméré un stockage MinIO.
3. Adaptation contextuelle : lors de l’énumération de MinIO, si une requête API renvoyait du XML au lieu du JSON attendu, l’agent ajustait automatiquement la logique d’analyse dans la requête suivante.
4. Persistance : un cron job a été installé sur le serveur Langflow, configuré pour communiquer avec l’infrastructure de l’attaquant toutes les 30 minutes.
5. Déplacement latéral : à partir de l’instance Langflow, l’agent a pivoté vers un serveur MySQL de production exécutant Alibaba Nacos (service de nommage et de configuration), en utilisant des identifiants root dont l’origine reste inconnue.
6. Escalade de privilèges : sur Nacos, l’agent a exploité CVE-2021-29441, une vulnérabilité de contournement d’authentification permettant de créer des comptes administrateurs frauduleux.
7. Chiffrement et extorsion : après avoir sondé les possibilités d’évasion de conteneur, l’agent a déployé la charge utile ransomware. Il a chiffré les 1 342 éléments de configuration du service Nacos en utilisant AES_ENCRYPT() de MySQL, supprimé les tables originales config_info et history, et créé une table d’extorsion README_RANSOM contenant la demande, une adresse Bitcoin et un contact Proton Mail.

« L’opération s’est adaptée en temps réel, réessayant les étapes échouées avec des paramètres affinés. En une séquence, elle est passée d’un échec de connexion à une correction fonctionnelle en 31 secondes », explique Sysdig dans son rapport.

Les signes distinctifs d’une attaque pilotée par IA

Plusieurs éléments trahissent l’origine IA de cette attaque. D’abord, les commentaires détaillés en langage naturel dans le code généré, décrivant le raisonnement opérationnel. Ensuite, l’itération rapide des attaques qui prend en compte les erreurs spécifiques rencontrées, plutôt que de simples tentatives répétitives. Enfin, l’utilisation d’une adresse Bitcoin issue de la documentation publique, probablement reproduite par l’LLM à partir de ses données d’entraînement.

Les vulnérabilités exploitées : un enchaînement fatal

Pour comprendre comment JadePuffer a réussi, examinons les deux failles majeures utilisées. La première, CVE-2025-3248, touche Langflow, un framework souvent déployé avec une configuration minimale de sécurité mais contenant des identifiants cloud et des clés API précieuses. La deuxième, CVE-2021-29441, est une vulnérabilité connue d’Alibaba Nacos permettant de créer un compte administrateur sans authentification. L’agent IA a su enchaîner ces deux brèches de manière cohérente, démontrant une compréhension « contextuelle » des infrastructures.

En pratique, cela signifie qu’un acteur malveillant sans compétences techniques avancées peut désormais orchestrer une attaque complexe en fournissant simplement un prompt à un LLM.

Il est important de noter que le ransomware prétendait utiliser AES-256, mais les chercheurs estiment qu’il s’agissait plutôt d’AES-128-ECB, une version plus faible. De plus, la clé de chiffrement était générée aléatoirement mais n’était ni stockée ni transmise à l’attaquant, rendant le déchiffrement impossible sans la clé en mémoire.

Conséquences pour la cybersécurité des entreprises françaises

L’émergence des « agentic threat actors » (ATA) représente un défi majeur. Selon une étude de l’ANSSI publiée en 2025, les ransomwares restent la première menace pour les PME et ETI françaises. Avec JadePuffer, la barrière technique s’abaisse : un attaquant peut désormais automatiser l’ensemble de la chaîne d’attaque sans être un expert en pentest. Cela augmente mécaniquement le nombre de victimes potentielles.

Cependant, les chercheurs de Sysdig soulignent que les payloads générés par LLM créent aussi de nouvelles opportunités de détection. En analysant les schémas de requêtes, les commentaires en langage naturel ou les itérations rapides, les solutions de sécurité peuvent identifier des comportements anormaux.

Comment se protéger face aux menaces agentiques ?

Face à cette nouvelle menace, voici des recommandations concrètes pour votre organisation :

• Mettre à jour systématiquement les frameworks exposés (Langflow, Nacos, etc.). La CISA a tagué CVE-2025-3248 comme activement exploitée dès mai 2025.
• Segmenter vos réseaux : même si un serveur est compromis, limitez la progression latérale en isolant les bases de données critiques derrière des pare-feu stricts.
• Surveiller les comportements anormaux : les tentatives de connexion répétées, les requêtes API inhabituelles ou les modifications de cron jobs peuvent indiquer une attaque automatisée.
• Renforcer la détection des indicateurs de compromission : l’agent IA génère du code avec des commentaires explicites ; des signatures basées sur ces patterns peuvent être créées.
• Former vos équipes à reconnaître les signes d’une attaque pilotée par IA, notamment les itérations rapides et l’adaptation contextuelle.

En France, le respect du RGPD et des recommandations de l’ANSSI (guide de sécurisation des API, ISO 27001) constitue une base solide, mais doit être complété par une veille sur les nouvelles capacités des attaquants.

Exemple de code généré par l’agent (extrait)

-- Chiffrement AES-128-ECB des configurations Nacos
UPDATE config_info SET config_value = AES_ENCRYPT(config_value, 'cle_secrete');
DROP TABLE config_info;
-- Création de la note de rançon
CREATE TABLE README_RANSOM (message TEXT, bitcoin_address VARCHAR(255), contact VARCHAR(255));

Ce type de code, bien que simple, illustre la capacité de l’agent à enchaîner des opérations complexes de manière autonome.

Conclusion : l’âge des attaques agentiques a commencé

Le cas JadePuffer montre que la menace des ransomwares pilotés par IA n’est plus une hypothèse de science-fiction, mais une réalité documentée. Pour les entreprises françaises, il est urgent d’adopter une posture de défense proactive, intégrant la surveillance des comportements d’IA et la mise à jour rigoureuse des systèmes exposés. La prochaine attaque pourrait être plus rapide, plus discrète, et surtout, menée par un agent que vous ne verrez pas venir. Préparez-vous dès aujourd’hui en auditant votre surface d’attaque et en testant vos défenses avec des simulations d’intrusion automatisées. Votre sécurité n’attend pas.